パスワードを忘れた? アカウント作成
5672 story

SafariなどにSSLで証明書の検証が働かないバグ 28

ストーリー by Oliver
SSLは身元確認の手段 部門より

jbeef曰く、"5月7日にBUGTRAQに流れた記事によると、 「Safari 1.0 Beta 2」と「Konqueror Embedded」(バージョン不明)に、SSL通信時にCommon Nameが検証されないセキュリティバグがあるという。つまり、たとえば、「www.example.com」用として認証局から取得したサーバ証明書を使って、「https://www.kantei.go.jp/」というニセのサイトを立ち上げたとしても、ブラウザがそれをニセだと警告してくれないということになる。 こうしたとき通常、IEならば「セキュリティ証明書の名前が無効であるか、またはサイト名と一致しません」、Netscape 7ならば「ドメイン名の不一致: ...提示されたセキュリティ証明書は www.example.com に属します。可能性はかなり低いですが、だれかがこのWebサイトとの接続を妨害しようとしていることも考えられます...」という警告が出るようになっている。また、発見者の指摘によると、Safariには、接続先のサーバ証明書の内容を目視確認する手段も用意されていないとのこと。錠前アイコンをダブルクリックしても何も表示されないそうだ。 発見者はApple Computerに連絡したとしているが、何日前に連絡したのかは不明。"

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。
  • そもそもSlashdot-Jでの返信ボタンを押してのコメント投稿ができない場合があったりして、Safariにはいまいち乗り切れない。

    動作速度が速いからいいのだけれど、、。
    個人的にはWebブラウザとメールが別れてからのMozillaに相当期待しています。(今の書き込みもMozillaでやってます)

    追記
    ちなみにMacOS XでCaminoの0.7.0を使っていると、漢字変換(ことえり)をOnにして次候補語句を探していると突然変な挙動をすることがあります。
    --
    ----------- 一生勉強を続けなきゃ!
  • Konqueror Embeded? (スコア:3, 参考になる)

    by limbo (6813) on 2003年05月11日 17時57分 (#313725) 日記
    MacSlashを眺めていて同じ内容の記事 [macslash.org]を見つけました。バグ関連情報はここに出てました [secunia.com]。

    Konquerorの方には影響がないようですが、ここでいう「ordinary versionのKonquerorには影響がない」というのがいまいち理解できません。Embededじゃなければいい、ということなのかな。

    というのも、今回セキュリティホールがあるとされているのはSafariと、それからKonqueror embededだとのことですが、後者のことがよくわかりませんでした。AppleがWebCoreとして利用しているKHTML engineのことなんでしょうか。
    • 暫定対処? (スコア:5, 参考になる)

      by Anonymous Coward on 2003年05月11日 18時33分 (#313741)
      2chのsafariスレ [2ch.net]でも話題になっていました。
      (SecurityFocusの記事のリンクもそこにあり)

      対策版がでるまでhttps 接続は控えるのが一番なんでしょうが、
      暫定対処としてDebugメニューの"Security"->"Performe Strict Certificate Checks"を
      チェックしておくとCommonNameのチェックは走るようです。
      親コメント
      • Re:暫定対処?に (スコア:2, 余計なもの)

        by t_trace (6746) on 2003年05月11日 21時01分 (#313819) 日記
        暫定対処?(#313741) に「参考になる」あげて下さい>モデレーション権持ってる方

        情報ありがとうございます。警告されるようになりました。

        ちなみに、Debugメニューの出し方はTerminalで
        % defaults write com.apple.Safari IncludeDebugMenu 1
        です。
        親コメント
    • Re:Konqueror Embeded? (スコア:3, 参考になる)

      by YamaKenZ (12605) on 2003年05月11日 19時00分 (#313750)
      Konqueror/Embedded [konqueror.org]は、khtmlを利用したPDA向けのWebブラウザです。デスクトップ向けのKonqueror [konqueror.org]とは違い、ファイルマネージャ機能は含んでいません。

      私はKonqueror/Embeddedに日本語関連パッチをいくつか適用したKonqueror-ja [que.ne.jp]を一応メンテしてますが、Linuxザウルス上で実行した場合、httpsサイトにアクセスすると以下のようなダイアログが出て無条件に認証に失敗します。

      Server Authentication: "The server certificate failed the authenticity test"

      ここで"Details"を押すと"Certificate has expired"となってしまっています。問題がOpenSSL(のバイナリパッケージ)とKonqueror/Embeddedのどちらにあるかすら調べていないのですが、このような挙動のバージョンもあるという事で参考まで。
      親コメント
      • by limbo (6813) on 2003年05月11日 20時01分 (#313784) 日記
        た、大変失礼しました。当方の不勉強でした。ありがとうございます。
        親コメント
      • by Daicki (4060) on 2003年05月11日 21時23分 (#313830) 日記
        KDEでは、SSL関係のモジュールはkhtmlとは別になっているように記憶しているのですが、
        Konquerorが大丈夫でSafariやKonqueror/Embeddedに問題があるのは
        そのあたりが理由なのではないかという気がします。
        #確認してませんが。
        親コメント
        • by YamaKenZ (12605) on 2003年05月11日 22時55分 (#313899)
          > KDEでは、SSL関係のモジュールはkhtmlとは別になっているように記憶しているのですが、
          ksslですね。Konqueror/Embeddedでもそのようになっています。

          > Konquerorが大丈夫でSafariやKonqueror/Embeddedに問題があるのは
          > そのあたりが理由なのではないかという気がします。
          Safariはksslを使ってないという事でしょうか。そちらの方はわかりませんが、Konqueror/Embeddedの方をちょっと調べてみました(気分転換を兼ねて)。

          kdelibs 2.2のkdelibs/kssl/ksslpeerinfo.ccにbool KSSLPeerInfo::certMatchesAddress()というメソッドがあり、これがcommon nameの照合を行っていますが、これを呼び出すコードはkdelibsにもKonqueror/Embedded(kdenox 1.0)にも存在しませんでした。なのでCN照合チェックは未実装なのではないかと思います。

          #ちなみに、kdelibs3ではbool KSSLPeerInfo::cnMatchesAddress(QString cn)というメソッドも用意されたようです。

          CNの照合はOpenSSL(libssl)の呼び出し側で実装する必要のある処理だったと記憶していますが、間違いであればご指摘下さい >詳しい方
          親コメント
          • by Daicki (4060) on 2003年05月11日 23時15分 (#313911) 日記
            > Safariはksslを使ってないという事でしょうか。

            Safariの発表がされた当時にkfm-develに投稿された関連メールを
            読んだ限りでは、KHTMLとKJS以外はAppleが相当するようなコードを独自に開発し
            リリースしているというようなことでしたので、おそらくそうではないかと思います。

            > kdelibs 2.2のkdelibs/kssl/ksslpeerinfo.ccにbool KSSLPeerInfo::certMatchesAddress()というメソッドがあり、
            > これがcommon nameの照合を行っていますが、これを呼び出すコードはkdelibsにも
            > Konqueror/Embedded(kdenox 1.0)にも存在しませんでした。なのでCN照合チェックは
            > 未実装なのではないかと思います。

            だとすると古いkhtmlでは照合チェックはしてなかったのかもしれませんねえ。
            あまり記憶がありませんが、エラーはあまり見かけなかったような気もします。
            ただ、当時はMozillaの使用頻度も結構高かったので、参考にならないかもしれません。

            (注:私は"SSLについて詳しい方"ではないです。)
            親コメント
  • by Anonymous Coward on 2003年05月11日 19時59分 (#313781)
    って釣りがありましたね。私がやったんですけど。
  • by Anonymous Coward on 2003年05月11日 20時17分 (#313795)
    proxy経由が動作しないから、安全。。
  • by Anonymous Coward on 2003年05月16日 10時04分 (#316729)
    SSL対策バージョン出たよ。
    • by targz (14071) on 2003年05月16日 21時27分 (#317337) 日記
      これって、SSL対策版なんでしょうか? リリースノートなどがないのでよく分かりません。Safari Developer News [mac.com]には、そうじゃないかという考察は書いてありますが…。
      親コメント
      • by t_trace (6746) on 2003年05月16日 22時49分 (#317386) 日記
        ソフトウェアアップデートのコメントには以下の記述がありました。

        This update is recommended for all Safari users and improves how Safari validates the authenticity of websites that use SSL certificates.

        対策版と見ていいのではないでしょうか?
        v74ではDebugメニューで検証を行う設定にしなくても、初期状態で警告が出るようになりました。
        ただし、証明書を確認する方法などは提供されていないようです。
        親コメント
        • by targz (14071) on 2003年05月17日 8時48分 (#317558) 日記
          なるほど、ソフトウェアアップデートの説明に記述がありましたか。
          わたしは Web でダウンロード [apple.com]してしまったので、そのような記述を見ることができませんでした。
          本来ならダウンロードページにChange LogとかRelease Note載せるべきですよね~~。
          親コメント
typodupeerror

ハッカーとクラッカーの違い。大してないと思います -- あるアレゲ

読み込み中...